Spring Security 6 OAuth2自定义JWT验证器如何获取HttpServletRequest？

要在自定义的OperationClaimValidator里获取当前请求的HttpServletRequest，可以利用Spring提供的RequestContextHolder工具类——它会将请求上下文绑定到当前线程中，在JWT验证阶段（请求处理线程内）可以直接取出使用，完全符合你基于OAuth2TokenValidator实现校验的需求。

步骤1：实现带请求上下文的自定义JWT验证器 #

修改你的OperationClaimValidator，通过RequestContextHolder获取当前请求，再对比operation claim与请求方法：

import org.springframework.security.oauth2.core.OAuth2Error;
import org.springframework.security.oauth2.core.OAuth2TokenValidator;
import org.springframework.security.oauth2.core.OAuth2TokenValidatorResult;
import org.springframework.security.oauth2.jwt.Jwt;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

public class OperationClaimValidator implements OAuth2TokenValidator<Jwt> {

    @Override
    public OAuth2TokenValidatorResult validate(Jwt jwt) {
        // 从线程绑定的上下文获取当前请求
        ServletRequestAttributes requestAttrs = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
        if (requestAttrs == null) {
            // 处理无请求上下文的场景（如异步调用），返回验证失败
            return OAuth2TokenValidatorResult.failure(
                new OAuth2Error("invalid_context", "No request context available for validation", null)
            );
        }

        HttpServletRequest request = requestAttrs.getRequest();
        String requestMethod = request.getMethod();
        String operationClaim = jwt.getClaimAsString("operation");

        // 校验请求方法与operation claim是否匹配
        if (!requestMethod.equalsIgnoreCase(operationClaim)) {
            return OAuth2TokenValidatorResult.failure(
                new OAuth2Error("mismatched_operation", "Operation claim does not match request method", null)
            );
        }

        return OAuth2TokenValidatorResult.success();
    }
}

步骤2：配置JwtDecoder绑定验证器 #

在你的资源服务器配置类中，将自定义验证器绑定到JwtDecoder：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.JwtDecoders;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;

@Configuration
public class OAuth2ResourceServerConfig {

    @Bean
    public JwtDecoder jwtDecoder() {
        // 替换为你的授权服务器 issuer URL
        NimbusJwtDecoder decoder = (NimbusJwtDecoder) JwtDecoders.fromIssuerLocation("https://your-issuer-domain.com");
        decoder.setJwtValidator(new OperationClaimValidator());
        return decoder;
    }
}

注意事项 #

• 该方案仅适用于Spring MVC同步请求场景：RequestContextHolder默认会在请求进入时绑定上下文，同步处理流程中可以稳定获取请求对象。
• 异步场景适配：如果你的应用存在异步处理（如@Async方法），需要手动配置TaskExecutor来传递请求上下文，避免RequestContextHolder返回null。
• 异常兜底：务必处理requestAttrs为null的情况，避免空指针异常，同时返回符合OAuth2规范的错误信息。

内容的提问来源于stack exchange，提问作者Georgii Lvov